Darba klēpjdators personīgajā VPN: kas patiešām šķērso

Uzņēmuma klēpjdatora pievienošana mājas VPN novieto to divās vietās vienlaikus, un interesantais jautājums ir mazāks un noderīgāks par satraucošo. Neviens nav ievilcis Ethernet kabeli starp biroju un māju, un neviens maršruts nepadara mājas tīklu par uzņēmuma apakštīkla paplašinājumu. Pastāv viens galapunkts ar piekļuvi abām vidēm, un trīs atsevišķi mehānismi nosaka, kas patiešām var pārvietoties starp tām. Šo trīs izskatīšana no galapunkta uz āru dod atbildi, ar kuru administrators var rīkoties, nevis strīdu par etiķetēm.

Sāciet ar galapunktu, nevis ar tīkla shēmu

Galapunkts ir vieta, kur abi savienojumi satiekas, tāpēc tur sākas pārskats: kuri procesi darbojas, ko tie var sasniegt un kas tos kontrolē. Shēma, kas parāda divus mākoņus, kas savienoti ar klēpjdatoru, ir precīza un nederīga, jo tā norāda uz saiti, kuras var arī nebūt. Aizstājiet to ar to lietojumprogrammu sarakstu, kuras var sazināties ar katru vidi, un atzīmējiet, zem kura konta katra darbojas. Šis ietvars arī uztur pārskatu samērīgu, jo klēpjdators ar diviem tuneļiem nav tas pats objekts kā divi savienoti tīkli.

Šis saraksts ir inventārs, no kura strādā pārējā pārskata daļa. Ja tajā ir sinhronizācijas klients, pārlūkprogrammas profils, kas pierakstījies abās vidēs, un būvēšanas aģents ar akreditācijas datiem, pārskatam jau ir savi objekti.

Trīs šķērsošanas punkti, skatīti atsevišķi

Lietojumprogrammu piekļuve ir pirmais šķērsošanas punkts, un tai nav vajadzīga nekāda pāradresācija. Pārlūkprogrammas cilne, sinhronizācijas klients vai būvēšanas aģents galapunktā var lasīt no vienas vides resursa un nosūtīt datus uz otras vides resursu. Šī spēja pastāv neatkarīgi no tā, vai operētājsistēma pārsūta paketes starp saskarnēm, un tieši šo mehānismu cilvēki izlaiž, kad secina, ka nav tilta nozīmē nav riska. Tāpēc lietojumprogrammu saraksta lasīšana sniedz vairāk informācijas nekā saskarņu saraksta lasīšana.

Identitāte un dati veido otro šķērsošanas punktu. Uzņēmuma akreditācijas dati, sesijas sīkfaili, lejupielādētie dokumenti un pārvaldības tiesības atrodas galapunktā, un pievienošanās citam tīklam pati par sevi tos neatklāj. Mainās to pušu kopa, kuras varētu ietekmēt galapunktu, kamēr tas tur šos akreditācijas datus, un tas ir jautājums par personīgā tīkla uzticamību, nevis par maršrutēšanu. Tas ir spriedums, ko galapunkta īpašnieks nevar pieņemt viens, un uz to neatbild pāradresācijas noteikuma trūkums.

Tīkla pāradresācija ir trešā un vienīgā, kas var pārvērst klēpjdatoru par tranzīta ierīci. IP pāradresācija, interneta savienojuma koplietošana, starpniekserveris vai tilta funkcija to var izdarīt, un katra no tām ir iestatījums, kas ir vai nu iespējots, vai nav. Pārbaudiet šo stāvokli tieši, nevis seciniet to no VPN klienta klātbūtnes. Pārvaldītā mašīnā atbilde parasti ir nē, un tās pārbaude pārvērš pieņēmumu faktā, ko ir vērts pierakstīt.

Lūdziet vienu resursu, nevis divus tīklus

Lielākā daļa reālo prasību ir šaurākas, nekā šķiet sākumā: viena konsole, viens failu koplietojums, viena iekšēja tīmekļa lietojumprogramma. Formulējiet prasību tā un ļaujiet resursa īpašniekam izlemt, vai tā vispār pieder šim galapunktam. Pieprasījums, kas formulēts kā divu tīklu savienošana, ir grūti apstiprināms un viegli noraidāms; pieprasījumam par vienu nosauktu pakalpojumu ir atbilde.

Ja atbilde ir jā, dodiet priekšroku šaurākajam atbalstītajam ceļam un turiet to organizācijas esošo kontroļu ietvaros. Pārvaldīts otrais profils vai ierobežota apjoma lietojumprogrammas ieraksts saglabā uzraudzību un politiku; konkurējoša personīga konfigurācija tos klusi aizstāj, un neviens nezina, kura uzvarēs pēc nākamā atjauninājuma.

Iekļaujiet DNS un maršrutu ietekmi

Vārdu izšķiršana mainās tajā mirklī, kad otrais profils ir aktīvs. Personīgs klients var uzspiest savu izšķīrēju, pārlūkprogramma var izmantot savu šifrēto DNS, un politikas tabula var novirzīt iekšējos vārdus uz citu serveri, nekā sagaida uzņēmuma konfigurācija. Neviens no tiem neprasa pāradresāciju, un jebkurš no tiem var nosūtīt iekšēju resursdatora vārdu nepareizajā vietā.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Ierakstiet šos trīs izvadus pirms otrā profila pievienošanās un pēc tam. Atšķirība starp tiem ir ietekme, kas patiešām sasniedz lietotāju, un tā bieži ir lielāka nekā biļetē aprakstītās maršrutēšanas izmaiņas. Saglabājiet abus ierakstus, lai vēlāks pārskatītājs redzētu, kas mainījās, nevis kas bija iecerēts.

Pārbaudiet un saglabājiet izeju

Pārbaudiet apstiprināto lietojumprogrammu no reālā procesa un lietotāja konteksta, nevis no administratora čaulas tajā pašā mašīnā. Pēc tam apstipriniet, ka nesaistīti galamērķi paliek nesasniedzami tur, kur to prasa dizains: robeža, kuru neviens nav pārbaudījis, ir robeža, uz kuru neviens nevar atsaukties. Personīgā tuneļa atvienošanai vajadzētu atjaunot iepriekšējo stāvokli, un šo atjaunošanu ir vērts pārbaudīt, kamēr kāds vēl skatās.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NIST norādījumi par nulles uzticēšanās arhitektūru šeit ir noderīgi, jo tie noņem tīkla atrašanās vietu kā automātisku uzticēšanās avotu, un tas ir tieši tas pieņēmums, par kuru notiek diskusija. Jautājums nav par to, vai mājas tīkls pēc būtības ir uzticams; jautājums ir, kas var sasniegt kuru resursu, no kura galapunkta un caur kuru izpildes punktu. Atbildiet uz šiem trim un saglabājiet pierādījumus kopā ar lēmumu.